慢霧餘弦警告 Telegram 聊天嵌入功能或存惡意代碼風險

慢霧創始人余弦發文警告，Telegram 新版本支持在聊天消息中直接嵌入互動式應用，相關功能採用 QuickJS 執行 JavaScript，可能增加惡意代碼攻擊風險，建議用戶謹慎升級。

Telegram 於 11 月 9 日推出的 Bot API 10.4 正式引入該功能。儘管官方提供了 QuickJS 沙盒及網絡訪問限制，但近期安全研究人員發現，相關執行引擎曾存在可能突破沙盒隔離的遠程代碼執行漏洞。